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PROCEDS B^JkPPARIllffiNT D'UN NOMBRE N DE TERMXNAUX 
RECEPTIUmS AVEC UK KOMBSJ? M DE CARRES DE CONTROL! 
D'ACCES CONDITIONNEL 

5 DESCRIPTION 

DOMAINE TECHNIQUE 

L' invention se situe dans le domaine de la 
securisation de donnees numeriques dif fusees et des 
equipements recepteurs destines a recevoir ces donnees 

10 dans un reseau de distribution de donnees et/ou 
services et se rapporte plus specif iquement a un 
procede d' appariement d'un nombre N d' equipements 
recepteurs de donnees avec un nombre M de modules 
externes de securite, chaque equipement recepteur etant 

15. muni d'un identifiant unique, et chaque module externe 
de securite ayant un identifiant unique. 

L' invention concerne egalement un 
equipement recepteur susceptible d'etre apparie avec 
une pluralite de modules externes de securite pour 

20 gerer l'acces a des donnees numeriques distribuees par 
un operateur. 

ETAT DE LA TECHNIQUE ANTERIEURE 

De plus en plus d' operateurs off rent des 
donnees et services en ligne accessibles au moyen de 

25 terminaux munis de processeurs de securite. 
Generalement, les donnees et services, distribues sont 
embrouilles a. 1' emission par des cles secretes et 
desembrouilles a la reception par les memes cles 
secretes prealablement mises a la disposition de 

30 l'abonne. 
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Outre les techniques classiques de controle 
d'acces basees sur 1' embrouillage a 1' emission et le 
desembrouillage a la reception des donnees distributes, 
les operateurs proposent des techniques basees sur 
5 1' appariement du terminal de reception avec un 
processeur de securite pour eviter que les donnees et 
services distribues ne soient accessibles a des 
utilisateurs munis d'un terminal vole ou d'une carte 
pirate . 

10 Le document WO 99/57901 decrit un mecanisme 

d' appariement entre un recepteur et un module de 
securite base, d'une part, sur le chiffrement et le 
dechif f rement des informations echangees entre le 
recepteur et le module de securite par une cle unique 

15 stockee dans le recepteur et dans le module de 
securite, et d' autre part, sur la presence d'un numero 
de recepteur dans le module de securite. 

Un inconvenient de cette technique provient 
du fait que 1' association entre un recepteur et le 

20 module de securite qui lui est apparie est etablie a 
priori, et qu'elle ne permet pas a l'operateur de gerer 
efficacement son pare d' equipements recepteurs afin 
d'empecher le detournement de cet equipement pour des 
utilisations f rauduleuses . 

25 Un but du procede d' appariement selon 

l r invention est de permettre a chaque operateur de 
limiter les utilisations de son pare de materiel de 
reception en controlant dynamiquement les 
configurations de 1' equipement recepteur et des modules 

30 externes de securite destines a cooperer avec cet 
equipement . 
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EXPOSE DE L' INVENTION 

1/ invention preconise un procede 
d' appariement d f un nombre N d' equip ements recepteurs de 
donnees avec un nombre M de modules externes de 
5 securite, chaque equipement recepteur etant muni d f un 
identifiant unique, et chaque module externe de 
securite ayant un identifiant unique, ce procede 
comportant une phase de configuration et une phase de 
controle. 

10 Selon 1' invention, la phase de 

configuration comporte les etapes suivantes : 

- memoriser dans chaque module externe de securite une 
liste d' identif iants d'equipements recepteurs, 

- memoriser dans chaque equipement recepteur une liste 
15 d' identif iants de modules externes de securite, 

et la phase de controle consiste a autoriser l'acces 
aux donnees si 1' identifiant d'un module externe de 
securite connecte a un equipement recepteur est present 
dans la liste memorisee dans cet equipement recepteur, 
20 et si 1' identifiant dudit equipement recepteur est 
present dans la liste memorisee dans ledit module 
externe de securite, sinon, perturber l'acces auxdites 
donnees . 

Preferentiellement, la configuration est 
25 mise en oeuvre uniquement lorsque l'utilisateur connecte 
un module externe de securite a un equipement 
recepteur. 

Dans un mode prefere de realisation, le 
procede selon 1' invention comporte une etape dans 
30 laquelle l'operateur transmet a 1' equipement recepteur 



une signalisation pour gerer la phase de controle 
comportant au moins l'une des eonsignes suivantes : 

- activer la phase de contrdle a une date 
ou apres un delai programmes, 
5 - desactiver la phase de controle a une 

date ou apres un delai programmes, 

specifier une date absolue 

(respectivement un delai) a partir de laquelle 
(respectivement au bout duquel) 1' activation ou la 
10 deactivation de la phase de controle est declenchee, 

annuler ladite date programmee 
(respectivement ledit delai programme) . 

Dans une premiere variante, 1'operateur 
transmet en outre a 1' equipement recepteur une 
15 signalisation comportant un message de suppression de 
la liste des identifiants memorises dans l'equipement 
recepteur. 

Ledit message de signalisation est transmis 
audit equipement recepteur via un message EMM 

20 (Entitlement Management Message, en anglais) specifique 
a cet equipement recepteur. 

Cette signalisation peut §tre transmise a 
un groupe d'equipements recepteurs via un message EMM 
specifique audit groupe d' equipements recepteurs. 

25 Dans une deuxieme variante, 1'operateur 

transmet en outre au module externe de securite une 
signalisation comportant un message de suppression de 
la liste des identifiants memorises dans ce module 
externe de securite. Ledit message de signalisation est 

30 transmis audit module externe de securite via un 
message EMM specifique, et peut etre transmis a un 



groupe de modules externes de securite via un message 
EMM specifique audit groupe de modules externes de 
securite. 

Selon une autre caracteristique du procede 
5 selon 1' invention, 1' operateur transmet , d'une part, a 
un equipement recepteur la liste des M identifiants des 
modules externes de securite via un message EMM 
specifique audit equipement recepteur, et d' autre part, 
a un module externe de securite la liste des N 

10 identifiants d' equipements recepteurs via un message 
EMM specifique audit module externe de securite. 

Selon une autre variante, 1' operateur 
transmet, d'une part, a un ' groupe d' equipements 
recepteurs la liste des M identifiants de modules 

15 externes de securite via un message EMM specifique 
audit groupe d' equipements recepteurs, et d' autre part, 
a un groupe de modules externes de securite la liste 
des N identifiants d' equipements recepteurs via un 
message EMM specifique audit groupe de modules externes 

20 de securite. 

Dans une autre variante de realisation, 
1' operateur transmet a un groupe d' equipements 
recepteurs un message de signalisation pour la phase de 
controle dans un flux prive qui est traite par un 
25 logiciel dedie executable dans chaque equipement 
recepteur en fonction de 1' identif iant dudit equipement 
recepteur. 

Alternativement, la liste d' identifiants de 
modules externes de securite est transmise dans un flux 
30 prive a un groupe d' equipements recepteurs et traitee 
par un logiciel dedie executable dans chaque equipement 



6 

recepteur en fonction de 1' identif iant dudit equipement 
recepteur, et la liste d' identif iants d f equipements 
recepteurs est transmise a un groupe de modules 
externes de securite dans un flux prive qui est traite 
5 par un logiciel dedie exec utable dans chacun desdits 
modules externes de securite ou dans 1' equipement 
recepteur auquel est connecte un desdits modules 
externes de securite, en fonction de 1' identif iant 
dudit module externe de securite. 

10 Dans un exemple d' application du procede 

selon 1' invention, les donnees numeriques representent 
des programmes audiovisuels distribues en clair ou sous 
forme embrouillee. 

Selon une caracteristique supplementaire, 

15 la liste des identifiants des M modules de securite 
memorises dans un equipement recepteur est chiffree, et 
la liste des identifiants des N equipements recepteurs 
memorises dans un module externe de securite est 
chiffree. 

20 Avantageusement, le procede selon 

1' invention comporte en outre un mecanisme destine a 
empecher 1' utilisation d'un EMM transmis a un meme 
module externe de securite ou a un meme equipement 
recepteur. 

25 Les messages EMM specifiques a un module de 

securite ou a un equipement recepteur presentent le 
format suivant : 

30 
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EMM-U_section() { 

table_id = 0x88 8 bits 

section_syntax_indicator =0 1 bit 
DVB_reserved 1 bit 

ISO_reserved 2 bits 

EMM-U_section_length 12 bits 

unique_adress_field 40 bits 

for (i=0; i<N; i++) { 

EMM_data_byte 8 bits 

} 

} 



Les messages EMM concernant tous les 
modules externes de securite ou tous les equipements 
recepteurs presentent le format suivant : 

EMM-G_section() { 

table_id = 0x8A ou 0x8B 8 bits 

section_syntax_indicator =0 1 bit 
DVB_reserved 1 bit 

ISO_reserved 2 bits 

EMM-G_section_length 12 bits 

for (i=0; i<N; i++) { 

EMM_data_byte 8 bits 

} 



Les messages EMM specif ique a un sous- 
groupe de modules externes de securite ou un sous- 
groupe d' equipements recepteurs presentent le format 
30 suivant : 



EMM-S_section() { 

table_id = 0x8E 8 bits 

section_syntax_indicator =0 1 bit 
DVB_reserved 1 bit 

ISO_reserved 2 bits 

EMM-S_section_length 12 bits 

shared_address_field 24 bits 

reserved 6 bits 

data_format 1 bit 

ADF_scrambling_flag 1 bit 

for {i=0; i<N; i++) { 

EMM_data_byte 8 bits 

} 

} 

Le procede selon 1' invention est mis en 
oeuvre dans un systeme de controle d' acces comportant 
une pluralite d' equipements recepteurs ayant chacun un 
identifiant unique et susceptibles de cooperer avec une 
pluralite de modules externes de securite ayant chacun 
un identifiant unique, chaque module externe de 
securite comportant des informations relatives aux 
droits d' acces d'un abonne a des donnees numeriques 
distribuees par un operateur, ce systeme comportant 
egalement une plateforme de gestion commerciale 
communiquant avec lesdits equipements recepteurs et 
avec lesdits modules externes de securite. Ce systeme 
comporte en outre : 

- un premier module agence dans ladite 
plate-forme de gestion commerciale et destine a generer 
des requetes d' appariement, 
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- et un deuxieme module agence dans lesdits 
equipements recepteurs et les modules externes de 
securite et destine a traiter lesdites requetes pour 
preparer une configuration de 1 "appariement . 
5 Le procede selon 1' invention est utilisable 

dans une architecture dans laquelle l r equipement 
recepteur coraporte un decodeur et le module externe de 
securite comporte une carte de controle d' acces dans 
laquelle sont memorisees des informations relatives aux 

10 droits d' acces d' un abonne a des donnees numeriques 
distribuees par un operateur. Dans ce cas, 
1' appariement est effectue entre ledit decodeur et 
ladite carte. 

Alternativement, le procede selon 

15 1' invention peut etre utilise dans une architecture 
dans laquelle 1' equipement recepteur comporte un 
decodeur et le module externe de security comporte une 
interface de securite amovible munie d'une memoire non 
volatile et destinee a cooperer, d'une part, avec le 

20 decodeur, et d' autre part, avec une pluralite de cartes 
de contrdle d' acces conditionnel pour gerer l'acces a 
des donnees numeriques distribuees par un operateur. 
Dans ce cas, 1' appariement est effectue entre ledit 
decodeur et ladite interface de securite amovible. 

25 Le procede selon 1' invention peut egalement 

etre utilise dans une architecture dans laquelle 
1' equipement recepteur comporte un decodeur muni d'une 
interface de securite amovible ayant une memoire non 
volatile et destinee a cooperer, d'une part, avec ledit 

30 decodeur, et d' autre part, avec une pluralite de cartes 
de controle d' acces conditionnel. Dans ce cas, 
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l'appariement est realise entre ladite interface de 
securite amovible et lesdites cartes de controle 
d' acces . 

L' invention concerne egalement un 
5 equipement recepteur susceptible d' etre apparie avec 
une pluralite de modules externes de securite pour 
gerer 1' acces a des donnees numeriques distributes par 
un operateur. Cet equipement recepteur comporte : 

une memoire non volatile destinee a 

10 memoriser une liste de modules externes de securite. 

- des moyens pour verifier si 1' identif iant 
d'un module externe de securite connecte audit 
equipement est present dans la liste memorisee dans 
ladite memoire non volatile. 

15 Dans un premier mode de realisation, cet 

equipement recepteur comporte un decodeur et le module 
externe de securite est une carte de controle d' acces 
comportant des informations relatives aux droits 
d' acces d'un abonne auxdites donnees numeriques, 

20 l'appariement etant dans ce cas effectue entre ledit 
decodeur et ladite carte. 

Dans un deuxieme mode de realisation, cet 
equipement recepteur comporte un decodeur et le module 
externe de securite est une interface de securite 

25 amovible munie d'une memoire non volatile et destinee a 
cooperer, d'une part, avec ledit decodeur, et d' autre 
part, avec une pluralite de cartes de controle d' acces 
conditionnel, pour gerer 1' acces auxdites donnees 
numeriques, l'appariement etant dans ce cas effectue 

30 entre ledit decodeur et ladite interface de securite 
amovible. 
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Dans un troisieme mode de realisation, cet 
equipement recepteur comporte un decodeur muni d'une 
interface de securite amovible ayant une memoire non 
volatile et destinee a cooperer, d'une part, avec ledit 
5 decodeur, et d' autre part, avec une pluralite de cartes 
de .controle d'acces conditionnel et 1' appariement est 
realise entre ladite interface de securite amovible et 
lesdites cartes de controle d'acces. 

L' invention concerne egalement un decodeur 
10 susceptible de cooperer avec une pluralite de modules 
externes de securite pour gerer 1'acces a des 
programmes audiovisuels distribues par un operateur, 
chaque module externe de securite ayant un identifiant 
unique et comportant au moins un algorithme de 
15 traitement de donnees . Ce decodeur comporte : 

- une memoire non volatile destinee a 
memoriser une liste de modules externes de securite, 

- des moyens pour verifier si 1' identifiant 
d'un module externe de securite connecte audit decodeur 

20 est present dans la liste memorisee dans ladite memoire 

non volatile. 

Dans une premiere variante, lesdits modules 

externes de securite sont des cartes de controle 

d'acces dans lesquelles sont memorisees des 
25 informations relatives aux droits d'acces d'un abonne a 

des donnees numeriques distributes par un operateur . 

Dans une deuxieme variante, lesdits modules 

externes de securite sont des interfaces de securite 

amovibles comportant une memoire non volatile et 
30 destinees a cooperer, d'une part, avec le decodeur, et 

d' autre part, avec une pluralite de cartes de controle 
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d'acces conditionnel pour gerer l'acces a des donnees 
numeriques distributes par un operateur. 

L' invention concerne egalement une 
interface de securite amovible destinee a cooperer, 
5 d'une part, avec un equipement recepteur, et d' autre 
part, avec une pluralite de cartes de controle d' acces 
conditionnel, pour gerer 1' acces a des donnees 
numeriques distributes par un operateur, cha que carte 
ayant un identifiant unique et comportant des 
10 informations relatives aux droits d' acces d'un abonne 
auxdites donnees numeriques . 

Cette interface comporte : 

une memoire non volatile destinee a 
memoriser une liste de cartes d'abonnes, 
15 - des moyens pour verifier si 1' identifiant 

d'une carte associee a ladite interface est present 
dans la liste memorisee dans ladite memoire non 
volatile. 

Dans un premier exemple de realisation, 
20 1' interface amovible est une carte PCMCIA (pour 
Personal Computer Memory Card International 
Association) comportant un logiciel de desembrouillage 
de donnees numeriques. 

Dans un deuxieme exemple de realisation, 
25 1' interface amovible est un logiciel executable soit 
dans 1' equipement recepteur soit dans une carte de 
controle d 1 acces . 

Le procede est pilote par un programme 
d'ordinateur executable sur N equipements recepteurs 
30 susceptibles d'etre apparies avec M modules externes de 
securite ayant chacun un identifiant unique et dans 
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lesquels sont stockees des informations relatives aux 
droits d'acces d'un abonne a des donnees numeriques 
distributes par un operateur, ce programme comporte des 
instructions pour memoriser dans chaque module externe 
5 de securite une liste d' identif iants d'une partie ou de 
1' ensemble des N equipements recepteurs, et des 
instructions pour memoriser dans chaque equipement 
recepteur une liste d' identifiants d'une partie ou de 
1' ensemble des M modules externes de securite, des 

10 instructions pour controler 1' identif iant d' un module 
externe de securite connecte a un equipement recepteur 
et 1' identifiant dudit equipement recepteur, et des 
instructions pour interdire 1'acces auxdites donnees si 
1' identifiant du module externe de securite connecte a 

15 1' equipement recepteur n'est pas present dans la liste 
d' identifiants prealablement memorisee dans cet 
equipement recepteur ou si 1' identifiant dudit 
equipement recepteur n'est pas present dans la liste 
d' identifiants prealablement memorisee dans ledit 

20 module externe de securite. 

BREVE DESCRIPTION DES DESSINS 

D'autres caracteristiques et avantages de 
1' invention ressortiront de la description qui va 
suivre, prise a titre d'exemple non limitatif en 
25 reference aux figures annexees dans lesquelles : 

la figure 1 represente une premiere 
architecture systeme pour la mise en ceuvre de 
1' appariement selon 1' invention, 

- la figure 2 represente une deuxieme 
30 architecture systeme pour la mise en ceuvre de 
1' appariement selon 1' invention, 
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la figure 3 represente une troisieme 
architecture systeme pour la mise en osuvre de 
1' appariement selon 1' invention, 

- la figure 4 represente la structure des 
5 messages EMMjdecodeur de configuration et d' utilisation 

des f onctionnalites d' appariement selon 1' invention, 

- la figure 5 represente la structure des 
messages EMM_carte de configuration des f onctionnalites 
d' appariement selon 1' invention, 

10 - la figure 6 est un diagramme fonctionnel 

representant schematiquement les etats de la fonction 
d' appariement embarquee dans un equipement recepteur, 

- la figure 7 represente un organigramme 
illustrant un mode particulier de mise en ceuvre de 

15 1' appariement selon 1' invention. 

EXPOSE DETAILLE DE MODES DE REALISATION PARTICULIERS 

L' invention va maintenant etre decrite dans 
le cadre d'une application dans laquelle un operateur 
diffusant des programmes audiovisuels met en ceuvre le 
procede selon 1' invention pour limiter 1' utilisation de 
son pare d' equipements recepteurs a ses propres 
abonnes . 

Le procede peut etre mis en ceuvre dans 
trois architectures distinctes illustrees 

respectivement par les figures 1, 2 et 3 . Les elements 
identiques dans ces trois architectures seront designes 
par des references identiques. 

La gestion de 1 'appariement est realisee a 
partir d'une plateforme commerciale 1 controlee par 
1' operateur et communiquant avec 1' equipement recepteur 
installe chez l'abonne. 
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Dans la premiere architecture, illustree 
par la figure 1, 1' equipement recepteur comporte un 
decodeur 2 dans lequel est installe un logiciel de 
contrdle d'acces 4, et le module externe de securite 
5 est une carte de controle d'acces 6 comportant des 
informations relatives aux droits d'acces d'un abonne 
aux programmes audiovisuels diffuses. Dans ce cas, 
1' appariement est effectue entre le decodeur 2 et la 
carte 6. 

10 Dans la deuxieme architecture illustree par 

la figure 2, 1' equipement recepteur comporte un 
decodeur 2, non dedie au contrdle d'acces, et le module 
externe de securite est une interface de securite 
amovible 8 munie d'une memoire non volatile et dans 

15 laquelle est installe le. logiciel de contrdle d'acces 
4. Cette interface 8 coopere, d'une part, avec ledit 
decodeur 2, et d f autre part, avec une carte 6 parmi une 
pluralite de cartes de controle d'acces conditionnel, 
pour.gerer l'acces auxdites programmes audiovisuels. 

20 Dans cette architecture, 1' appariement est 

realise entre ladite interface de securite amovible 8 
et ladite carte de contrdle d'acces 6. 

Dans la troisieme architecture, illustree 
par la figure 3, 1' equipement recepteur comporte un 

25 decodeur 2 dans lequel est installe un logiciel de 
contrdle d'acces 4 et qui est connecte a une interface 
de securite amovible 8 ayant une memoire non volatile 
■ et destinee a cooperer, d'une part, avec ledit decodeur 
2, et d' autre part, avec une carte 6 parmi une 

30 pluralite de cartes de controle d'acces conditionnel. 
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Dans ce cas, 1' appariement est effectue 
entre le decodeur 2 et 1' interface de securite amovible 
8. 

La configuration et 1' utilisation par 
5 l'operateur de 1' appariement resultent de commandes 
emises par la plateforme de gestion commerciale 1 
installee chez l'operateur. 

La description qui suit concerne la mise en 
oeuvre de 1' invention dans le cas d' appariement de N 
10 decodeurs dedies 2 avec M cartes 6. Les etapes mises en 
ceuvre s'appliquent aux trois architectures decrites ci- 
dessus . 

A la sortie d'usine des N d6codeurs 2, 
comme apres un telechargement du logiciel de controle 
15 d'acces 4 dans chaque decodeur 2, tous les traitements 
de 1' appariement sont inactifs. En particulier : 

- aucun identifiant de carte n'est memorise 
dans les decodeurs 2, 

- le controle par les decodeurs 2 des 
20 identifiants des cartes 6 n'est pas actif, 

- le controle par les decodeurs 2 de la 
presence de leur propre identifiant dans les cartes 6 
n'est pas actif. 

De meme, a la sortie d'usine des M cartes 
25 6, aucun identifiant de decodeur 2 n'est memorise dans 
les cartes 6. 

L' appariement peut alors etre configure et 
utilise dans les N decodeurs 2 et dans les M cartes 6 
par une requete de l'operateur via la plateforme de 
30 gestion 1 qui emet : 
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- vers les N decodeurs 2 des messages 
EMM_decodeur dedies a 1' appariement . 

vers les M cartes 6 des messages 
EMM_carte dedies a 1' appariement . Ces messages 
EMM_carte sont emis vers les cartes 6 directement ou 
integres dans des messages EMM_decodeurs . 

Les messages EMM_decodeurs permettent 
d'effectuer les taches suivantes : 

- activer dans les N decodeurs 2 la 
fonction d' appariement . Dans ce cas chaque decodeur 
verifie si 1' identif iant d'une carte 6 inseree dans le 
lecteur de carte du decodeur fait partie des 
identif iants qu'il a memorises et que 1' identif iant de 
ce decodeur 2 fait partie des identifiants de decodeurs 
memorises dans cette carte 6. Si ce n'est pas le cas, 
une perturbation, est appliquee dans l'acces aux 
donnees . 

- desactiver dans les N decodeurs 2 la 
fonction d' appariement. Dans ce cas, chaque decodeur 2 
ne controle ni son identif iant ni celui de la carte. 

- charger dans les N decodeurs 2 la liste 
des M identifiants de cartes 6 appariees a ces 
decodeurs . 

- effacer les identifiants de cartes 6 deja 
memorises dans les N decodeurs 2. 

Les messages EMM_carte permettent de : 

- charger dans les M cartes 6 la liste des 
N identifiants de decodeurs 2 apparies a ces cartes. 

- effacer les identifiants des decodeurs 2 
deja memorises dans les M cartes 6. 
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ADRESSAGE PES MESSAGES EMM 

Les messages EMM permettant la 
configuration et 1' utilisation des f onctionnalites 
liees a 1' appariement selon le procede de 1' invention 
sont emis dans une voie EMM d'un multiplex numerique 
tel que defini par le standard MPEG2/Systeme et les 
standards DVB/ETSI. 

Cette voie peut diffuser des EMM 
referencant une adresse de carte (s) permettant de les 
destiner directement : 

- a une carte particuliere, 

- aux cartes d'un groupe particulier, 

- a toutes les cartes, 

Cette voie peut diffuser egalement des EMM 
referencant une adresse de decodeur (s) permettant de 
les destiner directement : 

- a un decodeur particulier, 

- a un groupe particulier de decodeurs, 

- a tous les decodeurs, 

Les messages destines a une carte 
particuliere ou a un decodeur particulier sont des EMM- 
U presentant la structure suivante : 

EMM-U_section () { 

table_id = 0x88 8 bits 

section_syntax_indicator =0 1 bit 
DVB_reserved 1 bit 

ISO_reserved 2 bits 

EMM-U_section_length 12 bits 

unique_adress_f ield 40 bits 

for (i=0; i<N; i++) { 

EMM_data_byte 8 bits 

} 
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Le parametre unique_adress_f ield est 
l'adresse unique d' une carte dans un EMM-U carte ou 
l'adresse unique d' un decodeur dans un EMM-U decodeur. 

Les messages destines a des cartes d'un 
groupe particulier de cartes ou a des decodeurs d'un 
groupe particulier de decodeurs sont des EMM-S 
presentant la structure suivante : 

EMM-S_section() { 

table_id = 0x8E 

section_syntax_indicator 

DVB_reserved 

ISO_reserved 

EMM-S_section_length 

shared_address_field 

reserved 

data_format 

ADF_scrambling_flag . 

for (i=0; i<N; i++) { 
EMM_data_byte 



= 0 



8 bits 
1 bit 

1 bit 

2 bits 
12 bits 
24 bits 
6 bits 
1 bit 

1 bit 

8 bits 



} 



} 



Le parametre shared_adress_f ield est 
l'adresse du groupe de cartes dans un EMM-S carte ou 
l'adresse du groupe de decodeurs dans un EMM-S 
decodeur. Un decodeur d'un groupe ou une carte d'un 
groupe est concerne(e) par le message si en outre il 
(elle) est explicitement designe(e) dans un champ ADF 
contenu dans EMM_data_byte et pouvant etre chiffre 
selon 1' information ADF_scrambling_f lag. 
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Les messages destines a toutes les cartes 
ou a tous les decodeurs sont des EMM-G presentant 1 a 
structure suivante : 

EMM-G_section {) { 
5 table_id = 0x8A ou 0x8B 8 bits 

section_syntax_indicator =0 1 bit 
DVB_reserved 1 bit 

ISO_reserved 2 bits 

EMM-G_section_length 12 bits 

10 for (i=0; i<N; { 

EMM_data_byte 8 bits 

} 

} 

CONTENU DES MESSAGES EMM decodeur 

15 La figure 4 illustre schematiquement le 

contenu des donnees EMM_data_byte d'un message 
EMM_decodeur d' appariement . Ce contenu depend de la 
fonction a executer par un decodeur 2 pour la 
configuration ou 1' utilisation de 1' appariement . 

20 Les donnees EMM_data_byte incluent les 

parametres fonctionnels suivants : 

- ADF 20 : complement d'adressage d'un 
decodeur dans un groupe de decodeurs ; ce parametre est 
utile en cas d'adressage par groupe sinon il peut etre 

25 omis ; il peut etre chiffre. 

SOID 22 : identification de message 
d' appariement selon l r invention, parmi d r autres types 
de message. 

- OPID/NID 24 : identification du pare de 
30 decodeurs et du signal de 1'operateur. 
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TIME 26 : donnees d'horodatage de 
1' emission du message ; ce parametre est utilise pour 
eviter le rejeu du message par un meme decodeur 

- CRYPTO 28 : identification des fonctions 
5 de protection cryptographique appliquees aux parametres 

FUNCTIONS 32 ; les parametres FUNCTIONS peuvent etre 
chiffres et proteges par une redondance cryptographique 
30. 

- FUNCTIONS 32 : ensemble des parametres 
10 decrivant la configuration et 1' utilisation de 

1' appariement . 

- STBID 34 : adresse unique du decodeur 
concerne par le message. Ce parametre est present dans 
un EMM-U decodeur, sinon il peut etre omis . 

15 Les parametres fonctionnels ci-dessus sont 

organises librement dans les donnees EMM_data_byte d'un 
message EMM_decodeur . Une implementation preferee est 
la combinaison de ces parametres par structure T L V 
(Type Longueur Valeur) . 

20 CONTENU DES MESSAGES EMM carte 

La figure 5 illustre schematiquement le 
contenu des donnees EMM_data_byte d'un message 
EMM_Carte d' appariement . Ce contenu permet d'inscrire, 
modifier ou effacer une liste des identifiants de 

25 terminaux. 

Les donnees EMM_data_byte incluent les 
parametres fonctionnels suivants : 

- SOID 40 : identification de l'operateur. 

- M)F 42 : complement d' adressage d'une 
30 carte dans un groupe de cartes ; ce parametre est utile 
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en cas d'adressage par groupe sinon il peut etre omis ; 
il peut etre chiffre. 

- CRYPTO 44 : identification des fonctions 
de protection cryptographique appliquees au parametre 

5 LDA 48 et aux autres parametres 50 ; les parametre s 48 
et 50 peuvent etre chiffres et proteges par une 
redondance cryptographique 46. 

- LDA 48 {Liste de decodeurs autorisees ) : 
ce parametre contient la liste des identifiants de 

10 d6codeurs avec lesquels la carte peut fonctionner. 

Les donnees EMM_data_byte peuvent en outre 
contenir d' autres parametres 50 concernant des 
fonctions de la carte autres que 1' appariement . 

Les parametres presents dans les donnees 
15 EMM_data_byte sont organises librement dans ces donnees 
d'un message EMM carte. Une implementation preferee est 
la combinaison de ces parametres par structure T L V 
{Type Longueur Valeur) . 

CONFIGURATION ET UTILISATION DE L' APPARIEMENT 
20 L' ensemble de parametres FUNCTIONS 32 dans 

un EMM_decodeur decrit la configuration et 
1' utilisation de 1' appariement selon 1' invention. Cet 
ensemble de parametres est une combinaison quelconque 
des parametres fonctionnels suivants : 
25 - MODE : ce parametre active, desactive ou 

reinitialise la solution d' appariement selon 
1' invention. Apres deactivation, le decodeur ne 
controle pas 1' identif iant d'une carte inseree mais 
conserve la liste des identifiants memorises. Apres 
30 reinitialisation, le decodeur ne controle pas 
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1' identifiant d'une carte inseree et n'a plus 
d' identif iants de cartes memorises 

- LCA (Liste de cartes autorisees) : ce 
parametre charge dans un decodeur la liste des 
identifiants de cartes avec lesquelles il peut 
fonctionner 

- Perturbation : ce parametre decrit la 
perturbation a appliquer par le decodeur dans l'acces 
aux donnees en cas de carte non appariee avec le 
decodeur 

- Date/Delai : ce parametre caracterise la 
date ou le delai d' activation ou de deactivation de 
l'appariement 

Les parametres fonctionnels ci-dessus sont 
organises librement dans 1 ' ensemble de parametres 
FUNCTIONS 32. Une implementation preferee est la 
combinaison de ces parametres par structure T L V (Type 
Longueur Valeur) . 

En outre, dans certains types de service 
tels qu'une forme d' appariement un decodeur avec une 
carte, un EMM_decodeur peut transporter un ou plusieurs 
EMM_cartes. Dans ce cas, l'EMM_carte (les EMM_cartes) 
est (sont) inclus dans 1'ensemble de parametres 
FUNCTIONS 32 de facon clairement identifiable par le 
decodeur qui pourra extraire et fournir a la carte 
inseree le (les) EMM_carte (s) . Une implementation 
preferee d' inclusion d'EMM_carte dans 1' ensemble de 
parametres FUNCTIONS 32 d' un EMM_decodeur est l'usage 
d'une structure T L V particuliere contenant le (les) 
EMM_carte(s) avec toutes les donnees d'adressage 
af ferentes. 
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Une autre utilisation d'EMM_carte dans un 
EMM_decodeur permet de memoriser dans la carte que cet 
EMM_decodeur a deja ete traite par le decodeur, afin 
d'eviter le rejeu sur un autre decodeur et permettant 
5 le traitement unique de cet EMM par un seul decodeur ; 
semantiquement ces donnees signifient « Deja traite » 
et sont verifiees par le logiciel de controle d' acces 4 
du decodeur 2 quand il traite cet EMM. Une realisation 
preferee de ce mecanisme d'anti-rejeu est 1' inscription 

10 de ces donnees dans un bloc de donnees FAC (Facilities 
Data Block en anglais) de la carte. 
FONC T I ONNEMENT 

Le fonctionnement de 1' appariement selon 
1' invention va maintenant etre decrit par reference aux 

15 figures 6 et 7 . 

La figure 6 est un diagramme fonctionnel 
illustrant schematiquement les etats de la fonction 
d' appariement du logiciel de controle d' acces 4 
embarque dans un decodeur 2, 

20 La fonction d' appariement est dans l'etat 

inactif 60 quand le logiciel de controle d' acces 4 
vient d'etre installe ou telecharge 61 ou quand il a 
recu de la plateforme de gestion 1 un ordre de 
deactivation de 1' appariement 62 ou de 

25 reinitialisation de 1' appariement 64. Dans cet etat le 
logiciel de controle d' acces 4 accepte de fonctionner 
avec une carte 6 inseree dans le decodeur 2 sans 
verifier son appariement avec cette carte. 

Pour effectuer 1' activation de 

30 1' appariement entre M decodeurs 2 et N cartes 6, 
1'operateur active via la plateforme de gestion 1 : 
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- un traitement 70 pour definir le mode 
d' appariement (= actif ) , et le type de 
perturbation applicable dans 1'acces aux donnees 
en cas d'echeo de 1' appariement, 

- un traitement 72 pour definir la liste LCA a 
charger dans ces N decodeurs des identifiants des 
M cartes autorisees, 

- un traitement 74 pour definir la liste LDA a 
charger dans ces M cartes des identifiants des N 
decodeurs autorises 

En fonction de ces informations la 
plateforme de gestion 1 genere et emet (fleche 76) : 

• au moins un message EMM_decodeur pour charger 
dans la memoire non volatile des N decodeurs 2 
la liste LCA des cartes autorisees 6. 

• au moins un message EMM_carte pour charger dans 
la memoire non volatile des M cartes 6 la liste 
LDA des decodeurs autorises 

• au moins un message EMM_decodeur pour charger 
les parametres de configuration dans la memoire 
non volatile des N decodeurs 2. 

La fonction d' appariement dans un decodeur 
2 passe a l'etat actif 78. 

Lors d'une activation de la fonction 
d' appariement dans un decodeur 2 avec chargement de la 
liste LCA des cartes 6 autorisees et/ou de la liste LDA 
des decodeurs 2 autorises, la prise en compte effective 
par un decodeur 2 des parametres de configuration peut 
etre differee dans le temps selon le parametre 
Date/Delai pour garantir le chargement effectif de la 
liste LCA des cartes 6 autorisees dans un decodeur 2 et 
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de la liste LDA des decodeurs 2 autorises dans une 
carte 6. 

Lors d' une reactivation de la f onction 
d' appariement dans un decodeur 2, si la liste LCA des 
5 cartes 6 autorisees et/ou la liste LDA des decodeurs 2 
autorises ne necessite pas de modif ication, les EMM 
correspondants ne sont ni generes ni erais . 

L'operateur peut desactiver (etape 80) 
1' appariement dans un decodeur 2, a partir la 

10 plateforme de gestion 1 qui genere et emet (fleche 82) 
un message EMM adressant le ou les decodeurs 2 
concernes et contenant un ordre de desactivation sans 
effacement du contexte d' appariement 62 ou un ordre de 
RAZ du contexte d' appariement 64 . 

15 La f onction d' appariement dans un decodeur 

2 passe a l'etat inactif 60. 

La prise en compte effective par un 
decodeur 2 de 1' ordre de desactivation peut etre 
differee dans le temps selon le parametre Date/Delai. 

20 Quel que soit l'etat inactif 60 ou actif 78 

de la f onction d' appariement , elle peut recevoir de la 
plateforme de gestion 1 une liste de cartes 6 
autorisees LCA par EMM decodeur (etape 72) ou une liste 
de decodeurs 2 autorises LDA (etape 74) . 

25 La prise en compte d'une des M cartes 6 par 

la f onction d' appariement d'un des N decodeurs 2 est 
decrite dans 1' organigramme de la figure 7. 

A 1' insertion (etape 100) d'une carte 6 
dans le decodeur 2, le logiciel de controle d'acces 4 

30 embarque dans le decodeur teste (etape 102) si la 
fonction d' appariement est dans l'etat actif 78. 
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Si la fonction d' appariement dans le 
decodeur est dans l'etat inactif 60, le decodeur 
accepte de fonctionner avec la carte inseree (108) . 

Si la fonction d' appariement dans le 
5 decodeur est dans l'etat actif 78, le logiciel de 
controle d'acces : 

• lit 1' identif iant de la carte inseree et 
verifie (etape 104) si cet identifiant est dans 
la liste des cartes 6 autorisees memorisees 

10 dans le decodeur 2, 

• lit dans la carte inseree la liste des 
decodeurs autorises et verifie (etape 106) si 
1' identifiant du decodeur 2 est present dans 
cette liste, 

15 Les tests 104 et 106 peuverit etre executes 

dans n' importe quel ordre. 

Si les resultats de ces deux tests 
d' identif iants 104 et 106 sont positifs, le logiciel de 
controle d'acces 4 accepte de fonctionner avec la carte 

20 6 inseree (etape 108). L'acces aux programmes diffuses 
est alors possible, sous reserve de conformite des 
autres conditions d'acces attachees a ces programmes. 

Si le resultat d'au moins un des tests 104 
et 106 n'est pas positif, le logiciel de controle 

25 d'acces 4 refuse de fonctionner avec la carte 6 inseree 
et applique (etape 110) la perturbation dans l'acces 
aux donnees telle que definie par 1'operateur. Une 
telle perturbation peut consister a bloquer l'acces aux 
programmes diffuses. Elle peut etre accompagnee de 

30 1'affichage sur l'ecran du terminal auquel est associe 
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le decodeur d'un message invitant 1'abonne a inserer 
une autre carte 6 dans le decodeur 2. 

Quand la carte 2 est extraite (etape 112) 
du decodeur 2, le logiciel de controle d' acces passe en 
5 attente de 1' insertion d'une carte (etape 100) 

La perturbation appliquee a 1' etape 110 
dans 1' acces aux donnees en cas de defaut d' appariement 
peut etre de differente nature telle que : 

- Arret audio et video sur les chalnes 
10 cryptees (obtenu par non soumission des ECM a la carte 

pour calcul des CW) ; 

- Arret audio et video sur les chaines en 
clair et analogiques (obtenu par message au 
middleware) ; 

15 - Envoi d'un message au middleware du 

terminal (exemple : message Open TV) . 

Cette perturbation peut etre utilisee 
egalement pour provoquer le blocage de decodeurs voles. 

Dans le cas decrit dans la figure 2 ou le 

20 logiciel de controle d' acces 4 est execute dans 
1' interface amovible 8 connectee a un decodeur 2, 
1' automate decrit dans la figure 4 et 1' organigramme 
decrit dans la figure 5 s' appliquent directement au 
logiciel de controle d' acces embarque 4 dans cette 

25 interface amovible 8 . 
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REVENB ICATIONS 

1. Procede d f appariement d' un nombre N 
d' equipements recepteurs (2) de donnees avec un nombre 
M de modules externes de securite {6, 8), chaque 

5 equipement recepteur (2) etant muni d'un identifiant 
unique, et chaque module externe de securite (6, 8) 
ayant un identifiant unique, procede caracterise en ce 
qu'il comport e une phase de configuration comportant 
les etapes suivantes : 
10 - memoriser dans chaque module externe de securite (6, 
8) une liste d' identif iants d' equipements recepteurs 
(2), 

- memoriser dans chaque equipement recepteur (2) une 
liste d' identif iants de modules externes de securite 

15 (6, 8), 

et une phase de controle consistant a autoriser l'acces 
aux donnees si 1' identifiant d'un module externe de 
securite (6, 8) connecte a un equipement recepteur (2) 
est present dans la liste memorisee dans cet equipement 

20 recepteur (2), et si 1' identif iant dudit equipement 
recepteur (2) est present dans la liste memorisee dans 
ledit module externe de securite (6, 8) , sinon, 
perturber 'l'acces auxdites donnees. 

2. Procede selon la revendication 1, 
25 caracterise en ce que la configuration est mise en 

ceuvre uniquement lorsque 1' utilisateur connecte un 
module externe de securite (6, 8) a un equipement 
recepteur (2) . 

3. Procede selon la revendication 1, 
30 caracterise en ce qu 'il comporte en outre une etape 

dans laquelle l'operateur transmet a 1' equipement 
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recepteur (2) , une signalisation pour gerer la phase de 
controle comportant au moins 1'une des consignes 
suivantes : 

- activer la phase de controle a une date 
5 ou apres un delai programmes, 

- desactiver la phase de controle a une 
date ou apres un delai programmes, 

specifier une date absolue 

(respectivement un delai) a partir de laquelle 
10 (respectivement au bout duquel) 1' activation ou la 
deactivation de la phase de controle est declenchee, 

annuler ladite date programmee 
(respectivement ledit delai programme) . 

4. Procede selon la revendication 1, 
15 caracterise en ce que l'operateur transmet en outre a 

1'equipement recepteur (2) une signalisation comportant 
un message de suppression de la liste des identifiants 
memorises dans 1'equipement recepteur (2) . 

5. Procede selon la revendication 1, 
20 caracterise en ce que l'operateur transmet en outre au 

module externe de securite (6, 8) une signalisation 
comportant un message de suppression de la liste des 
identifiants memorises dans ce module externe de 
securite (6, 8) . 

25 6. Procede selon la revindication 1, 

caracterise en ce que l'operateur transmet a un 
equipement recepteur (2) la liste des M identifiants 
des modules externes de securite (6, 8) via un message 
EMM specif ique audit equipement recepteur (2) . 

30 7. Procede selon la revendication 1, 

caracterise en ce que l'operateur transmet a un module 
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externe de securite (6, 8) la liste des N identifiants 
d'equipements recepteurs (2) via un message EMM 
specif ique audit module externe de securite (6, 8) . 

8. Procede selon la revendication 1, 
caracterise en ce que 1'operateur transmet a un groupe 
d'equipements recepteurs (2) la liste des M 
identifiants de modules externes de securite (6, 8) via 
un message EMM specif ique audit groupe d'equipements 
recepteurs (2) . 

9. Procede selon la revendication 1, 
caracterise en ce que 1'operateur transmet a un groupe 
de modules externes de securite {6, 8) la liste des N 
identifiants d'equipements recepteurs (2) via un 
message EMM specifique audit groupe de modules externes 
de securite <6, 8) . 

10. Procede selon les revendications 3 ou 
4, caracterise en ce que 1'operateur fournit a un 
equipement recepteur (2) ledit message de signalisation 
via un message EMM specifique audit equipement 
recepteur (2) . 

11. Procede selon les revendications 3 ou 
4, caracterise en ce que 1'operateur fournit a un 
groupe d'equipements recepteurs (2) ledit message, de 
signalisation via un message EMM specifique audit 
groupe d'equipements recepteurs (2) . 

12. Procede selon la revendication 5, 
caracterise en ce que 1'operateur fournit a un module 
externe de securite ledit message de signalisation via 
un message EMM specifique audit module externe de 
securite (2) . 
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13. Procede selon la revendication 5, 
caracterise en ce que l'operateur fournit a un groupe 
de modules externes de securite (6, 8) ledit message de 
signalisation via un message EMM specifique audit 
groupe de modules externes de securite (6, 8) . 

14. Procede selon les revendications 3 ou 
4, caracterise en ce que l'operateur transmet a un 
groupe d' equipements recepteurs (2) dans un flux prive 
un message de signalisation pour la phase de controle, 
ledit flux prive etant traite par un logiciel dedie 
executable dans chaque equipernent recepteur (2) en 
fonction de 1' identif iant dudit equipernent recepteur 
(2) . 

15. Procede selon la revendication 1, 
caracterise en ce que la liste d' identif iants de 
modules externes de securite (6, 8) est transmise dans 
un flux prive a un groupe d' equipements recepteurs (2) 
et traitee par un logiciel dedie executable dans chaque 
equipernent recepteur (2) en fonction de 1' identif iant 
dudit equipernent recepteur (2) . 

16. Procede selon la revendication 1, 
caracterise en ce que la liste d' identif iants 
d' equipements recepteurs (2) est transmise a un groupe 
de modules externes de securite (6, 8) dans un flux 
prive qui est traite par un logiciel dedie executable 
dans chacun desdits modules externes de securite (6, 8) 
ou dans 1' equipernent recepteur (2) auquel est connecte 
chacun desdits modules externes de securite {6, 8), en 
fonction de 1' identif iant dudit module externe de 
securite (6, 8) . 
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17. Procede selon la revendi cation 1, 
caracterise en ce que les donnees numeriques sont 
distributes en clair ou sous forme embrouillee. 

18. Procede selon la revendication 17, 
caracterise en ce que les donnees numeriques 
representent des programmes audiovisuels . 

19. Procede selon la revendication 1, 
caracterise en ce que la liste des identifiants des M 
modules de securite memorises dans un equipement 
recep.teur (2) est chiffree. 

20. Procede selon la revendication 1, 
caracterise en ce que la liste des identifiants des N 
equipement s recepteurs (2) memorises dans un module 
externe de securite (6, 8) est chiffree. 

21. Procede selon l'une des revendications 
6 a 13, caracterise en ce qu'il comporte en outre un 
mecanisme destine a ernpecher 1' utilisation d'un EMM 
transmis a un meme module externe de securite (6, 8) ou 
a un meme equipement recepteur (2) . 

22. Procede selon les revendications 6, 1, 
10 ou 12, caracterise en ce que ledit EMM presente le 
format suivant : 

EMM-U_section() { 

table_id = 0x88 8 bits 

section_syntax_indicator =0 1 bit 
DVB_reserved 1 bit 

ISO_reserved 2 bits 

EMM-U_section_length 12 bits 

unique_adress_field 40 bits 

for <i=0; i<N; i++) { 

EMM_data_byte 8 bits 

} 

} 
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23. Procede selon les revendications 8, 9, 
11 ou 13, caracterise en ce que ledit message EMM 
concerne tous les modules externes de securite (6, 8) 
ou tous les equipements recepteurs {2) et presente le 
format suivant : 

EMM-G_section ( ) { 

table_id = 0x8A ou 0x8B 8 bits 

section_syntax_indicator =0 1 bit 
DVB_reserved 1 bit 

ISO_reserved 2 bits 

EMM-G_section_length 12 bits 

for (i=0; i<N; i++) { 

EMM_data_byte 8 bits 

) 

} 

24. Procede selon les revendications 8, 9, 
11 ou 13, caracterise en ce que ledit message EMM est 
specifique a un sous-groupe de modules externes de 
securite (6, 8) ou un sous-groupe d' equipements 
recepteurs (2) et presente le format suivant : 

EMM-S_section() { 

table_id = 0x8E 8 bits 

section_syntax_indicator =0 1 bit 
DVB_reserved 1 bit 

ISO_reserved 2 bits 

EMM-S_section_length 12 bits 

shared_address_field 24 bits 

reserved 6 bits 

data_format 1 bit 

ADF_scrambling_flag 1 bit 

for (i=0; i<N; i++) { 

EMM_data_byte 8 bits 

} 

} 
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25. Procede selon l'une quelconque des 
revendications 1 a 24, caracterise en ce que 
1' equipement recepteur (2) comporte un decodeur et le 
module de securite externe {6, 8) comporte une carte de 
5 controle d'acces (6) dans laquelle sont memorisees des 
informations relatives aux droits d'acces d'un abonne a 
des donnees numeriques distributes par un operateur, et 
en ce que 1' appariement est effectue entre ledit 
decodeur et ladite carte (6) . 

10 26. Procede selon l'une quelconque des 

revendications 1 a 24, caracterise en ce que 
l'equipement recepteur (2) comporte un decodeur et le 
module externe de securite (6, 8) comporte une 
interface de securite amovible (8) munie d'une memoire 

15 non volatile et destinee a cooperer, d'une part, avec 
le decodeur, et d' autre part, avec une pluralite de 
cartes de contrdle d'acces (6) conditionnel pour gerer 
l'acces a des donnees numeriques distributes par un 
operateur, et en ce que 1' appariement est effectue 

20 entre ledit decodeur et ladite interface de securite 
amovible (8) . 

27. Procede selon l'une quelconque des 
revendications 1 a 24, caracterise en ce que 
l'equipement recepteur (2) comporte un decodeur muni 

25 d'une interface de securite amovible (8) ayant une 
memoire non volatile et destinee a cooperer, d'une 
part, avec ledit decodeur, et d' autre part, avec une 
pluralite de cartes de controle d'acces (6) 
conditionnel et en ce que 1' appariement est realise 

30 entre ladite interface de securite amovible (8) 
lesdites cartes de controle d'acces (6). 
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28. Equipement recepteur susceptible d'etre 
apparie avec une pluralite de modules externes de 
securite (6, 8) pour gerer l'acces a des donnees 
numeriques distributes par un operateur, caracterise en 

5 ce qu'il comporte : 

- une memoire non volatile destinee a 
memoriser une liste de modules externes de securite (6, 
8), 

- des moyens pour verifier si 1' identif iant 
10 d'un module externe de securite (6, 8) connecte audit 

equipement est present dans la liste memorisee dans 
ladite memoire non volatile. 

29. Equipement selon la revendication 28, 
caracterise en ce qu' il comporte un decodeur et en ce 

15 que le module externe de securite (6, 8) est une carte 
de controle d'acces (6) comportant des informations 
relatives aux droits d'acces d'un abonne auxdites 
donnees numeriques, 1' appariement etant effectue entre 
ledit decodeur et ladite carte (6) . 

20 30. Equipement selon la revendication 28, 

caracterise en ce qu' il comporte un decodeur et en ce 
que le module externe de securite (6, 8) est une 
interface de securite amovible (8) munie d'une memoire 
non volatile et destinee a cooperer, d'une part, avec 

25 ledit decodeur, et d' autre part, avec une pluralite de 
cartes de controle (6) d'acces conditionnel, pour gerer 
1' acces auxdites donnees numeriques, 1' appariement 
etant effectue entre ledit decodeur et ladite interface 
de securite amovible (8) . 

30 31. Equipement selon la revendication 28, 

caracterise en ce qu'il comporte un decodeur muni d'une 
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interface de securite amovible (8) ayant une memo ire 
non volatile et destinee a cooperer, d'une part, avec 
ledit decodeur, et d' autre part, avec une pluralite de 
cartes de controle (6) d'acces conditionnel et en ce 
5 que l'appariement est realise entre ladite interface de 
securite amovible (8) et lesdites cartes de controle 
d'acces (6) . 

32 . Decodeur susceptible de cooperer avec 
une pluralite modules externes de securite (6, 8) pour 

10 gerer l'acces a des programmes audiovisuels distribues 
par un operateur, chaque module externe de securite (6, 
8) ayant un identifiant unique et comportant au moins 
un algorithme de traitement de donnees, decodeur 
caracterise en ce qu'il comporte : 

15 - une memoire non volatile destinee a 

memoriser une liste de modules externes de securite (6, 
8), 

- des moyens pour verifier si 1' identifiant 
d'un module externe de securite <6, 8) connecte audit 
20 decodeur est present dans la liste memorisee dans 
ladite memoire non volatile. 

33. Decodeur selon la revendication 32, 
caracterise en ce que lesdits modules externes de 
securite (6, 8) sont des cartes de controle d'acces (6) 

25 dans lesquelles sont memorisees des informations 
relatives aux droits d'acces d'un abonne a des donnees 
numeriques distributes par un operateur. 

34. Decodeur selon la revendication 32, 
caracterise en ce que lesdits modules externes de 

30 securite (6, 8) sont des interfaces de securite 
amovible (8) comportant une memoire non volatile et 
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destines a cooperer, d'une part, avec le decodeur, et 
d' autre part, avec une pluralite de cartes de controle 
(6) d'acces conditionnel pour gerer l'acces a des 
donnees numeriques distributes par un operateur, 
5 35. Interface de securite amovible destinee 

a cooperer, d'une part, avec un equipement recepteur 
(2), et d' autre part, avec une pluralite de cartes de 
contrdle (6) d'acces conditionnel, pour gerer l'acces a 
des donnees numeriques distributes par un operateur, 

10 chaque carte ayant un identifiant unique et comportant 
des informations relatives aux droits d'acces d'un 
abonne auxdites donnees numeriques, interface 
caracterisee en ce qu'elle comporte : 

une memoire non volatile destinee a 

15 memoriser une liste de cartes d'abonnes, 

- des moyens pour verifier si 1' identifiant 
d'une carte associee a ladite interface est present 
dans la liste memorisee dans ladite memoire non 
volatile. 

20 36. Interface selon la revendication 35 

caracterisee en ce qu'elle consiste en une carte PCMCIA 
comportant un logiciel de desembrouillage de donnees 
numeriques . 

37. Interface selon la revendication 35 
25 caracterisee en ce qu'elle consiste en un logiciel. 

38. Systeme de controle d'acces comportant 
une pluralite d' equipements recepteurs (2) ayant chacun 
un identifiant unique et susceptibles de cooperer avec 
une pluralite de modules externes de securite (6, 8) 

30 ayant chacun un identifiant unique, chaque module 
externe de securite (6, 8) comportant des informations 
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relatives aux droits d'acces d' un abonne a des donnees 
numeriques distributes par un operateur, ledit systeme 
comportant egalement une plateforme de gestion 
commerciale {!) communiquant avec lesdits equipements 
5 recepteurs (2) et avec lesdits modules externes de 
securite (6, 8), characterise en ce qu'il comporte en 
outre ; 

- un premier module agence dans ladite 
plate-forme commerciale (1) et destine a generer des 

10 requetes d'appariement, 

- et un deuxieme module agence dans lesdits 
equipements recepteurs (2) et dans lesdits modules 
externes de securite (6, 8) et destine a traiter 
lesdites requetes pour preparer une configuration de 

15 1 ' appariement . 

39. Programme d'ordinateur executable sur N 
equipements recepteurs (2) susceptibles de cooperer 
avec M modules de securite (6, 8) ayant chacun un 
identifiant unique et dans lesquels sont stockees des 

20 informations relatives aux droits d'acces d' un abonne a 
des donnees numeriques distributes par un operateur, 
caracterise en ce qu'il comporte des instructions pour 
memoriser dans chaque module externe de securite (6, 8) 
une liste d' identif iants d' une partie ou de 1' ensemble 

25 des N equipements recepteurs 2) , et des instructions 
pour memoriser dans chaque equipement recepteur (2) une 
liste d' identif iants d'une partie ou de 1' ensemble des 
M modules de securite (6, 8) , des instructions pour 
contrdler 1' identif iant d'un module de securite 

30 connecte a un equipement recepteur (2) et 1' identifiant 
dudit equipement recepteur (2), et des instructions 
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pour interdire l'acces auxdites donnees si 
1' identifiant du module de securite (6, 8) connecte a 
1' equipement recepteur (2) n'est pas present dans la 
liste d' identifiants prealablement memorisee dans cet 
equipement recepteur 2) on si 1' identif iant dudit 
equipement recepteur (2) n'est pas present dans la 
liste d' identif iants prealablement memorisee dans ledit 
module externe de securite (6, 8) . 
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